Et API eksponerer forretningslogikken direkte, uten grensesnittet som før skjulte den. Identifikatorene ligger åpent, felt som klienten aldri viser, blir likevel akseptert av serveren, og hvert endepunkt er én forespørsel unna for alle som har et token.
Vi arbeider ut fra spesifikasjonen der den finnes, og rekonstruerer den fra trafikken der den mangler. Hvert endepunkt kalles i hver rolle, med identifikatorene til andre brukere og leietakere, med felt det ikke burde akseptere og i en rekkefølge som arbeidsflyten ikke forventer.
01Omfang
Hva vi tester
Autorisasjon på objektnivå: tilgang til poster som tilhører andre brukere og leietakere
Autorisasjon på funksjonsnivå: administrative og interne operasjoner
Autorisasjon på egenskapsnivå: mass assignment og overdreven dataeksponering
Autentisering: API-nøkler, OAuth 2.0-flyter, validering av JWT, livssyklusen til tokener
Ressursbruk: hastighetsbegrensning, paginering, batchoperasjoner, kostnaden ved spørringer
GraphQL: introspeksjon, dybde og kompleksitet, batching, autorisasjon på feltnivå
gRPC og WebSocket: autorisasjon av metoder, validering av meldinger, kapring av kanaler
Server-side request forgery og usikker bruk av tredjeparters API-er
Oversikt: skjulte og utfasede endepunkter, endepunkter for feilsøking, avvik mellom versjoner
02Fremgangsmåte
Slik utføres arbeidet
01
Oversikt over endepunkter
Vi sammenligner spesifikasjonen med reell trafikk og med mobil- og webklientene, og lister opp endepunktene som finnes, men ikke er dokumentert.
02
Autorisasjonsmatrise
Hver operasjon kalles med påloggingsinformasjonen til hver rolle mot objekter som tilhører andre brukere og leietakere. Resultatet er en matrise over hva som er tillatt, mot hva som burde være tillatt.
03
Misbruk av input og skjema
Vi sender felt, typer og strukturer som skjemaet ikke forventer: ekstra egenskaper, nestede spørringer, overdimensjonerte batcher, motstridende innholdstyper.
04
Misbruk av forretningsflyter
Operasjoner spilles av på nytt, stokkes om og kjøres parallelt for å finne kappløpssituasjoner og flyter som kan automatiseres til skade for virksomheten.
Vi har ingen dokumentasjon for API-et. Kan det testes?
Ja. Vi rekonstruerer grensesnittet fra trafikken til klientene dine og fra hvordan serveren oppfører seg. At dokumentasjonen mangler, er i seg selv et funn, og oversikten vi lager, er en del av rapporten.
Hvordan skiller dette seg fra en test av en webapplikasjon?
Målet er grensesnittet mellom systemer, ikke sidene en person ser. Arbeidet konsentreres om autorisasjon av hvert objekt og hver operasjon, om skjemaer og om automatisert misbruk. Det er der innbrudd via API-er har sitt utspring.
Tester dere interne API-er mellom mikrotjenester?
Ja, fra den posisjonen i nettverket som du definerer: fra internett, fra et partnernettverk eller fra innsiden av klyngen. Interne API-er stoler ofte mer på dem som kaller dem, enn de burde.